Active Directory sicher konfigurieren: Best Practices für Unternehmen

Active Directory sicher konfigurieren gehört zu den wichtigsten Aufgaben in einer Windows-Infrastruktur. Schließlich steuert der Verzeichnisdienst Benutzerkonten, Computer, Gruppen, Richtlinien und Zugriffsrechte. Wird das Active Directory kompromittiert, erhalten Angreifer häufig Zugriff auf große Teile des Unternehmensnetzwerks.

Dabei beginnt ein Angriff nicht immer mit einer technisch komplexen Sicherheitslücke. Oft genügen ein gestohlenes Administratorkennwort, ein veralteter Server oder zu weitreichende Berechtigungen. Anschließend bewegen sich Angreifer schrittweise durch das Netzwerk. Dieses Vorgehen wird als laterale Bewegung bezeichnet.

Eine sichere Umgebung benötigt daher mehrere Schutzebenen. Dazu gehören gehärtete Domain Controller, getrennte Administratorkonten und eine saubere Rechtevergabe. Außerdem müssen Unternehmen veraltete Protokolle reduzieren, Ereignisse überwachen und ihre Wiederherstellung regelmäßig testen.

Dieser Ratgeber erklärt die wichtigsten Maßnahmen für 2026. Sie erfahren, wie Sie typische Schwachstellen erkennen und das Active Directory strukturiert absichern. Die Empfehlungen eignen sich für kleine Unternehmen, größere Netzwerke und hybride Microsoft-Umgebungen.

Kurz erklärt

Was ist das Thema? Die sichere Konfiguration von Active Directory Domain Services.
Warum ist es wichtig? Eine AD-Kompromittierung gefährdet Benutzer, Server und Geschäftsdaten.
Wer profitiert davon? Administratoren, IT-Verantwortliche, Systemhäuser und Unternehmen mit Windows-Domänen.

Das Wichtigste in 30 Sekunden

Schützen Sie Domain Controller als besonders kritische Systeme.

Trennen Sie Benutzer- und Administratorkonten konsequent.

Vergeben Sie Rechte nach dem Prinzip der geringsten Berechtigung.

Reduzieren Sie NTLM, SMBv1 und unsichere LDAP-Verbindungen.

Überwachen, sichern und testen Sie das Active Directory regelmäßig.

Table of Contents

Warum muss Active Directory besonders geschützt werden?

Active Directory Domain Services, kurz AD DS, bildet in vielen Unternehmen die zentrale Identitätsplattform. Der Dienst prüft Anmeldungen und verwaltet Berechtigungen. Außerdem verteilt er über Gruppenrichtlinien zahlreiche Sicherheitseinstellungen.

Ein Domain Controller speichert dafür die Verzeichnisdatenbank und sicherheitsrelevante Informationen. Dazu gehören unter anderem Kennwort-Hashes und Kerberos-Schlüssel. Deshalb gehört ein Domain Controller zu den wertvollsten Angriffszielen im Netzwerk.

Erbeutet ein Angreifer weitreichende Domänenrechte, kann er neue Konten erstellen oder vorhandene Konten manipulieren. Außerdem kann er Gruppenrichtlinien verändern und Schadsoftware verteilen. Selbst moderne Firewalls können einen solchen Missbrauch nur begrenzt verhindern. Der Angriff erfolgt schließlich mit vermeintlich gültigen Identitäten.

CISA und internationale Partner beschreiben 17 häufig beobachtete Techniken für Angriffe auf AD DS, AD CS und AD FS. Dazu gehören Kerberoasting, Pass-the-Hash, unsichere Delegierung und der Missbrauch privilegierter Gruppen.

Merke: Active Directory ist nicht nur ein weiterer Serverdienst. Es ist die zentrale Vertrauensinstanz der Windows-Infrastruktur.

Active Directory sicher konfigurieren: Die wichtigsten Grundprinzipien

Wer sein Active Directory sicher konfigurieren möchte, sollte nicht mit einzelnen Einstellungen beginnen. Zuerst benötigt das Unternehmen ein nachvollziehbares Sicherheitsmodell. Dabei bilden vier Grundprinzipien die Basis.

Microsoft empfiehlt insbesondere geringe Berechtigungen, sichere Administrationsgeräte und einen starken Schutz der Domain Controller. Zusätzlich sollte jede Organisation von einer möglichen Kompromittierung ausgehen.

Die folgende Tabelle zeigt die zentralen Grundprinzipien:

Grundprinzip	Bedeutung	Praktische Umsetzung
Least Privilege	Konten erhalten nur notwendige Rechte	Delegierte Rollen statt pauschaler Domain-Admin-Rechte
Trennung der Aufgaben	Kritische Tätigkeiten werden getrennt	Separate Konten für Benutzer, Server und AD
Assume Breach	Ein erfolgreicher Angriff wird eingeplant	Protokollierung, Segmentierung und Notfallpläne
Defense in Depth	Mehrere Schutzschichten greifen ineinander	PAW, MFA, Firewall, EDR, Backups und Monitoring
Regelmäßige Kontrolle	Sicherheit bleibt kein Einmalprojekt	Wiederkehrende Audits und Berechtigungsprüfungen

Diese Prinzipien ergänzen sich gegenseitig. Ein starkes Kennwort schützt beispielsweise nicht vor einer Anmeldung an einem kompromittierten Arbeitsplatz. Deshalb benötigt eine wirksame Strategie immer technische und organisatorische Maßnahmen.

Active Directory sicher konfigurieren nach dem Least-Privilege-Prinzip

Least Privilege bedeutet, dass jeder Benutzer nur die wirklich benötigten Rechte erhält. Das gilt besonders für administrative Konten. Ein Helpdesk-Mitarbeiter benötigt zum Beispiel kein dauerhaftes Domain-Admin-Konto, nur um Kennwörter zurückzusetzen.

Delegieren Sie stattdessen einzelne Aufgaben an passende Sicherheitsgruppen. Verwenden Sie dafür den Assistenten zur Objektverwaltung oder sorgfältig geprüfte Zugriffslisten. Zusätzlich sollten zeitlich begrenzte Rechte bevorzugt werden, sofern die eingesetzte Infrastruktur dies unterstützt.

Prüfen Sie besonders diese Gruppen:

Enterprise-Admins
Domänen-Admins
Schema-Admins
Administratoren
Konten-Operatoren
Server-Operatoren
Sicherungs-Operatoren
Gruppenrichtlinien-Ersteller-Besitzer

Jede Mitgliedschaft benötigt einen dokumentierten geschäftlichen Grund. Außerdem sollten privilegierte Gruppen möglichst leer bleiben, solange ihre Rechte nicht benötigt werden.

Domain Controller sicher härten

Domain Controller benötigen strengere Regeln als gewöhnliche Mitgliedsserver. Schließlich ermöglicht ihre Kompromittierung einen direkten Angriff auf die gesamte Domäne. Microsoft warnt, dass vorbereitete Angreifer innerhalb kurzer Zeit schweren Schaden verursachen können.

Installieren Sie auf einem Domain Controller daher keine unnötigen Anwendungen. Webbrowser, Office-Programme, Datenbanken oder allgemeine Verwaltungssoftware gehören nicht auf dieses System. Jede zusätzliche Anwendung vergrößert die Angriffsfläche.

Beschränken Sie darüber hinaus den Netzwerkzugriff. Nur erforderliche Systeme und Verwaltungsnetze sollten administrative Verbindungen aufbauen dürfen. Verwenden Sie dafür interne Firewalls, VLANs und die Windows Defender Firewall.

Folgende Maßnahmen sind besonders wichtig:

Nutzen Sie mindestens zwei Domain Controller pro Domäne.
Setzen Sie unterstützte Windows-Server-Versionen ein.
Installieren Sie Sicherheitsupdates nach vorherigen Tests zeitnah.
Entfernen oder deaktivieren Sie unnötige Dienste.
Deaktivieren Sie den Druckwarteschlangendienst auf Domain Controllern.
Erlauben Sie keine normale Internetnutzung auf Domain Controllern.
Schützen Sie virtuelle DCs vor unbefugtem Zugriff auf den Hypervisor.
Kontrollieren Sie DNS, Replikation und Zeitsynchronisation.
Aktivieren Sie eine geeignete Datenträger- und Plattformabsicherung.
Nutzen Sie EDR- oder Defender-Schutz mit passenden Serverrichtlinien.

Ein Domain Controller sollte außerdem niemals als gewöhnlicher Datei-, Druck- oder Anwendungsserver dienen. Diese Rollentrennung reduziert Abhängigkeiten und vereinfacht die Härtung.

Physische und virtuelle Domain Controller schützen

Bei physischen Systemen benötigen Serverraum, Konsole und Datenträger einen geeigneten Zugriffsschutz. Hingegen liegt der Schwerpunkt bei virtuellen Domain Controllern zusätzlich auf dem Hypervisor.

Ein Hypervisor-Administrator kann virtuelle Festplatten kopieren oder Maschinen manipulieren. Deshalb besitzt diese Rolle indirekt sehr weitreichenden Zugriff auf die Domäne. Behandeln Sie die Virtualisierungsplattform folglich als kritische Verwaltungsumgebung.

Vermeiden Sie unkontrollierte Snapshots als AD-Sicherung. Verwenden Sie stattdessen anwendungs- und AD-kompatible Backups. Außerdem müssen Sicherungssysteme vor denselben Administratorkonten geschützt werden, die den laufenden Betrieb verwalten.

Administratorkonten und Berechtigungen schützen

Administratoren sollten niemals mit ihrem privilegierten Konto E-Mails lesen oder im Internet surfen. Ein kompromittierter Anhang könnte sonst unmittelbar hochwertige Zugangsdaten abgreifen.

Jeder Administrator benötigt daher mindestens zwei Identitäten:

ein normales Benutzerkonto für Büroarbeit und Kommunikation;
ein separates Administratorkonto für definierte Verwaltungsaufgaben.

Bei größeren Umgebungen empfiehlt sich eine weitere Trennung. Ein Konto verwaltet Clients, ein anderes Mitgliedsserver. Besonders geschützte Identitäten sind hingegen für Domain Controller und zentrale Identitätssysteme vorgesehen.

Microsoft bezeichnet dieses moderne Konzept als Enterprise Access Model. Es ersetzt die rein technische Betrachtung des älteren Tier-Modells. Dennoch bleibt die Kernaussage gleich: Ein Konto oder Gerät darf keine höher geschützte Ebene von einer schwächeren Ebene aus verwalten.

Privileged Access Workstations einsetzen

Eine Privileged Access Workstation, kurz PAW, ist ein besonders abgesicherter Verwaltungscomputer. Auf diesem Gerät laufen keine E-Mail-, Office- oder allgemeinen Browser-Aktivitäten. Dadurch sinkt das Risiko eines Diebstahls privilegierter Zugangsdaten.

Eine PAW sollte unter anderem folgende Eigenschaften besitzen:

aktuelle Sicherheitsupdates;
Festplattenverschlüsselung und Secure Boot;
Application Control;
EDR-Schutz;
eingeschränkter Internetzugang;
keine lokalen Administratorrechte für Alltagsaufgaben;
Zugriff nur auf definierte Verwaltungsziele.

Zusätzlich sollten Sie administrative Anmeldungen an normalen Clients per Gruppenrichtlinie verbieten. Sonst landen hochwertige Anmeldedaten möglicherweise auf einem unsicheren Endgerät.

Praxis-Tipp: Beginnen Sie mit PAWs für Domain-Admins. Danach können Sie das Konzept auf Server-, Netzwerk- und Cloud-Administratoren erweitern.

Kennwörter und Authentifizierung sicher konfigurieren

Eine einheitliche Standardrichtlinie reicht nicht für alle Benutzergruppen. Besonders gefährdete Konten benötigen stärkere Vorgaben. Active Directory unterstützt dafür fein abgestufte Kennwortrichtlinien, sogenannte Fine-Grained Password Policies.

Setzen Sie bevorzugt lange Passphrasen ein. Starre, häufige Kennwortwechsel ohne konkreten Verdacht können hingegen vorhersehbare Kennwörter fördern. Sperren Sie zudem bekannte oder leicht erratbare Kennwörter.

Für privilegierte Zugriffe empfiehlt sich eine phishing-resistente Mehrfaktor-Authentifizierung. Klassisches AD DS bietet jedoch nicht für jede Anmeldung automatisch eine MFA-Abfrage. Geeignete Lösungen können Smartcards, zertifikatbasierte Verfahren, Windows Hello for Business oder abgesicherte Zugriffsplattformen sein.

Wichtige Maßnahmen sind:

lange, eindeutige Passphrasen vorgeben;
kompromittierte Kennwörter blockieren;
Kontosperrungen sinnvoll konfigurieren;
privilegierte Konten stärker absichern;
keine gemeinsamen Administratorkonten verwenden;
keine Kennwörter in Skripten oder Gruppenrichtlinien speichern;
stärkere Verfahren für Remote- und Verwaltungszugriffe nutzen.

Überprüfen Sie außerdem Konten mit der Option „Kennwort läuft nie ab“. Bei technischen Konten sollten Sie stattdessen verwaltete Dienstkonten einsetzen.

Windows LAPS für lokale Administratorkonten nutzen

Gleiche lokale Administratorkennwörter stellen ein großes Risiko dar. Kennt ein Angreifer das Kennwort eines Computers, kann er es möglicherweise auf weiteren Systemen verwenden.

Windows LAPS erzeugt für verwaltete Geräte jeweils ein eigenes lokales Administratorkennwort. Anschließend speichert die Lösung dieses geschützt im Active Directory. Berechtigte Administratoren können es bei Bedarf abrufen.

Konfigurieren Sie dabei:

ein individuelles Kennwort pro Gerät;
eine angemessene Kennwortlänge;
eine regelmäßige Rotation;
streng begrenzte Leseberechtigungen;
die Protokollierung von Kennwortabrufen;
eine automatische Rotation nach Nutzung, soweit unterstützt.

LAPS verhindert somit die Wiederverwendung lokaler Kennwörter. Gleichzeitig erleichtert die Lösung den kontrollierten Notfallzugriff.

Gruppenrichtlinien kontrolliert absichern

Gruppenrichtlinienobjekte, kurz GPOs, steuern tausende Einstellungen in einer Windows-Domäne. Ein manipuliertes GPO kann deshalb Schadcode oder unsichere Konfigurationen an viele Computer verteilen.

Erstellen Sie eine klare GPO-Struktur. Trennen Sie Richtlinien für Domain Controller, Server, Clients und Benutzer. Vermeiden Sie außerdem unübersichtliche Richtlinien mit zahlreichen unabhängigen Einstellungen.

Vor einer Änderung sollten Sie jedes GPO sichern. Testen Sie neue Einstellungen zunächst in einer eigenen Organisationseinheit. Danach erfolgt ein gestufter Rollout auf ausgewählte Systeme.

Eine saubere Verwaltung umfasst folgende Punkte:

Änderungen nur über berechtigte Administratorkonten;
wenige Mitglieder in der Gruppe der GPO-Ersteller;
getrennte Test- und Produktiv-Organisationseinheiten;
dokumentierte Verantwortlichkeiten;
Versions- und Änderungskontrollen;
regelmäßige Sicherungen der Gruppenrichtlinien;
Überwachung von Änderungen an kritischen GPOs;
Entfernung verwaister oder ungenutzter Richtlinien.

Vermeiden Sie Kennwörter in Group Policy Preferences. Alte GPP-Kennwörter lassen sich unter Umständen aus dem SYSVOL-Verzeichnis auslesen. Suchen Sie deshalb auch in bestehenden Umgebungen nach solchen Altlasten.

Unsichere Protokolle schrittweise reduzieren

Ältere Protokolle bleiben oft aus Kompatibilitätsgründen aktiv. Allerdings erleichtern sie Angriffe auf Anmeldedaten. Besonders NTLM, SMBv1 sowie ungeschützte LDAP-Verbindungen verdienen Aufmerksamkeit.

SMBv1 sollte vollständig deaktiviert sein. Bei NTLM empfiehlt sich dagegen ein kontrolliertes Vorgehen. Aktivieren Sie zuerst die Überwachung und ermitteln Sie abhängige Anwendungen. Danach können Sie Ausnahmen bereinigen und NTLM schrittweise einschränken.

LDAP-Signierung schützt LDAP-Kommunikation vor Manipulation. LDAP Channel Binding erschwert zusätzlich bestimmte Relay-Angriffe bei TLS-geschützten Verbindungen. Testen Sie beide Einstellungen zuerst mit Ihren Anwendungen.

Die folgende Reihenfolge reduziert Betriebsrisiken:

Erfassen Sie bestehende NTLM-, LDAP- und SMB-Nutzung.
Identifizieren Sie veraltete Geräte und Anwendungen.
Aktivieren Sie zunächst Audit- beziehungsweise Kompatibilitätsprotokolle.
Testen Sie strengere Einstellungen in einer Pilotgruppe.
Beheben Sie inkompatible Anwendungen.
Erzwingen Sie die sicheren Einstellungen gestuft.
Überwachen Sie Fehler und mögliche Umgehungsversuche.

Deaktivieren Sie ältere Verfahren nicht ungetestet in der gesamten Domäne. Sonst können Fachanwendungen, Scanner oder ältere Systeme unerwartet ausfallen.

Dienstkonten und Kerberos richtig absichern

Klassische Dienstkonten besitzen häufig statische Kennwörter. Diese werden selten geändert und teilweise auf mehreren Servern verwendet. Dadurch entstehen attraktive Ziele für Kerberoasting und andere Angriffe.

Nutzen Sie nach Möglichkeit Group Managed Service Accounts, kurz gMSA. Active Directory erzeugt und rotiert deren Kennwörter automatisch. Anwendungen müssen das Verfahren allerdings unterstützen.

Prüfen Sie bei jedem Dienstkonto:

Benötigt das Konto eine interaktive Anmeldung?
Auf welchen Systemen darf es verwendet werden?
Welche Gruppenmitgliedschaften sind wirklich nötig?
Ist ein Service Principal Name eingetragen?
Verwendet das Konto noch veraltete Verschlüsselungsverfahren?
Kann es durch ein gMSA ersetzt werden?
Ist eine uneingeschränkte Kerberos-Delegierung aktiviert?

Verhindern Sie interaktive und Remote-Anmeldungen, wenn ein Dienst sie nicht benötigt. Entfernen Sie außerdem Domain-Admin-Rechte von Dienstkonten.

Bei Kerberos-Delegierungen ist besondere Vorsicht nötig. Verwenden Sie keine uneingeschränkte Delegierung, wenn eine eingeschränkte oder ressourcenbasierte Variante möglich ist.

Active Directory überwachen und Angriffe erkennen

Prävention allein reicht nicht aus. Unternehmen müssen erkennen, wenn sich privilegierte Gruppen, Gruppenrichtlinien oder Authentifizierungsvorgänge ungewöhnlich verändern.

Aktivieren Sie dafür die erweiterte Überwachungsrichtlinie von Windows. Leiten Sie relevante Ereignisse zentral an Windows Event Forwarding, ein SIEM oder eine vergleichbare Monitoring-Plattform weiter.

Überwachen Sie insbesondere:

Änderungen an privilegierten Gruppen;
neue oder reaktivierte Benutzerkonten;
Änderungen an Gruppenrichtlinien;
fehlgeschlagene und ungewöhnliche Anmeldungen;
Anmeldungen privilegierter Konten auf normalen Clients;
Änderungen an Delegierungen und Zugriffslisten;
verdächtige Kerberos-Ticketanforderungen;
deaktivierte Sicherheitsprotokollierung;
Replikationszugriffe aus ungewöhnlichen Quellen;
Änderungen an AD CS und Zertifikatvorlagen.

Typische relevante Ereignis-IDs sind beispielsweise 4720 für neue Benutzerkonten und 4728 beziehungsweise 4732 für neue Gruppenmitglieder. Ereignis 1102 zeigt eine Löschung des Sicherheitsprotokolls. Allerdings muss jede Erkennungsregel an die eigene Umgebung angepasst werden.

Praxisbeispiel: Ungewöhnliche Domain-Admin-Mitgliedschaft

Ein Monitoring-System erkennt nachts eine neue Mitgliedschaft in der Gruppe „Domänen-Admins“. Das betroffene Konto gehört normalerweise zum Helpdesk.

Das Sicherheitsteam prüft zunächst den Änderungszeitpunkt und das ausführende Konto. Danach sperrt es die verdächtige Identität und sichert relevante Protokolle. Zusätzlich kontrolliert das Team Anmeldungen, Gruppenrichtlinien und Replikationsaktivitäten.

Ohne zentrale Überwachung könnte die Änderung tagelang unentdeckt bleiben. Eine schnelle Alarmierung verkürzt hingegen die Reaktionszeit erheblich.

Active Directory sichern und wiederherstellen

Ein normales Server-Backup genügt nicht als vollständiger Wiederherstellungsplan. Unternehmen benötigen eine dokumentierte Strategie für einzelne Objekte, Domain Controller und die gesamte Gesamtstruktur.

Sichern Sie mindestens den System State geeigneter Domain Controller mit einer unterstützten Backup-Lösung. Bewahren Sie zusätzlich mehrere getrennte und unveränderbare Sicherungsstände auf. Die Backup-Infrastruktur darf nicht vollständig von derselben Domäne abhängen.

Ein belastbarer Plan umfasst:

regelmäßige System-State-Sicherungen;
getrennte oder unveränderbare Backup-Kopien;
dokumentierte DSRM-Zugangsdaten;
Sicherungen wichtiger GPOs;
dokumentierte DNS- und Netzwerkkonfigurationen;
bekannte Rolleninhaber und Abhängigkeiten;
einen Forest-Recovery-Plan;
regelmäßige Wiederherstellungstests;
Notfallkonten außerhalb normaler Zugriffswege.

Testen Sie nicht nur, ob ein Backup erfolgreich abgeschlossen wurde. Stellen Sie Daten tatsächlich in einer isolierten Umgebung wieder her. Nur so erkennen Sie fehlende Zugangsdaten oder unvollständige Abläufe.

Wichtig: Bewahren Sie den Wiederherstellungsplan auch offline auf. Bei einem Ransomware-Angriff können Wiki, Passwortmanager und Dokumentenserver gleichzeitig ausfallen.

Active Directory sicher konfigurieren: Schritt-für-Schritt-Anleitung

Eine vollständige Härtung benötigt Zeit. Die folgende Reihenfolge konzentriert sich zuerst auf besonders wirkungsvolle Maßnahmen.

Schritt 1: Bestand und Abhängigkeiten erfassen

Dokumentieren Sie Domänen, Vertrauensstellungen, Domain Controller und Betriebssystemversionen. Erfassen Sie außerdem privilegierte Konten, Dienstkonten und Gruppenrichtlinien.

Prüfen Sie anschließend veraltete Systeme und unsichere Protokolle. Ohne diese Bestandsaufnahme können Änderungen unerwartete Ausfälle verursachen.

Schritt 2: Privilegierte Gruppen bereinigen

Exportieren Sie die Mitglieder kritischer Gruppen. Klären Sie für jedes Konto den Verantwortlichen und den tatsächlichen Bedarf.

Entfernen Sie veraltete Mitgliedschaften kontrolliert. Richten Sie außerdem getrennte Konten für normale und administrative Tätigkeiten ein.

Schritt 3: Domain Controller härten

Installieren Sie aktuelle Updates nach einem geeigneten Test. Entfernen Sie unnötige Software und deaktivieren Sie nicht benötigte Dienste.

Beschränken Sie zusätzlich administrative Netzwerkzugriffe. Kontrollieren Sie danach Replikation, DNS und die Ereignisprotokolle.

Schritt 4: Administrative Zugriffswege absichern

Stellen Sie sichere Administrationsgeräte bereit. Verhindern Sie privilegierte Anmeldungen an gewöhnlichen Arbeitsplätzen.

Ergänzen Sie starke Authentifizierung und überwachte Verwaltungswege. Dadurch schützen Sie nicht nur Konten, sondern auch deren Anmeldesitzungen.

Schritt 5: Authentifizierung modernisieren

Führen Sie Windows LAPS und gMSAs ein. Überwachen Sie NTLM und ungeschützte LDAP-Nutzung.

Aktivieren Sie strengere Einstellungen anschließend in Pilotgruppen. Erst nach erfolgreichen Tests erfolgt die breite Einführung.

Schritt 6: Monitoring und Wiederherstellung testen

Leiten Sie wichtige Ereignisse zentral weiter. Erstellen Sie Alarmregeln für privilegierte Gruppen, GPOs und ungewöhnliche Authentifizierung.

Führen Sie abschließend einen dokumentierten Wiederherstellungstest durch. Wiederholen Sie diesen Test regelmäßig und nach größeren Infrastrukturänderungen.

Häufige Fehler bei der AD-Absicherung

Viele Sicherheitsprobleme entstehen nicht durch fehlende Produkte. Vielmehr fehlen klare Prozesse und regelmäßige Kontrollen.

Besonders häufig treten folgende Fehler auf:

Administratoren verwenden Domain-Admin-Konten im Alltag.
Dienstkonten besitzen unnötig hohe Berechtigungen.
Alle lokalen Administratoren verwenden dasselbe Kennwort.
Alte Computer- und Benutzerkonten bleiben dauerhaft aktiv.
NTLM oder unsigniertes LDAP bleibt unkontrolliert verfügbar.
GPO-Änderungen erfolgen ohne Test und Dokumentation.
Domain Controller betreiben zusätzliche Anwendungen.
Backups liegen nur online und in derselben Vertrauenszone.
Sicherheitsereignisse werden lokal gespeichert, aber nicht ausgewertet.
Wiederherstellungspläne werden nie praktisch getestet.

Ein weiterer Fehler besteht im blinden Einsatz von Härtungsvorlagen. Baselines liefern zwar eine wertvolle Grundlage. Dennoch müssen Administratoren Auswirkungen, Anwendungen und Ausnahmen vorher prüfen.

Vorteile und mögliche Nachteile der AD-Härtung

Eine sichere Konfiguration bringt deutliche Vorteile. Allerdings verursacht die Einführung auch Aufwand und mögliche Kompatibilitätsprobleme.

Vorteile	Mögliche Nachteile
Kleinere Angriffsfläche	Aufwand für Analyse und Einführung
Besserer Schutz privilegierter Konten	Ältere Anwendungen können ausfallen
Schnellere Angriffserkennung	Zusätzliche Monitoring-Kosten
Kontrollierte administrative Zugriffe	Administratoren müssen Abläufe ändern
Verbesserte Wiederherstellbarkeit	PAWs und getrennte Systeme benötigen Ressourcen
Bessere Nachweisbarkeit	Dokumentation muss gepflegt werden

Die Nachteile sprechen nicht gegen die Härtung. Sie zeigen vielmehr, warum Unternehmen gestuft vorgehen sollten. Pilotgruppen, Dokumentation und Rückfallpläne reduzieren dabei das Betriebsrisiko.

Zusammenfassende Checkliste

Nutzen Sie diese Checkliste für eine erste Bewertung Ihrer Umgebung:

Mindestens zwei funktionsfähige Domain Controller vorhanden
Unterstützte und regelmäßig aktualisierte Serverversionen eingesetzt
Keine unnötigen Anwendungen auf Domain Controllern installiert
Druckwarteschlange auf Domain Controllern deaktiviert
Privilegierte Gruppen geprüft und bereinigt
Benutzer- und Administratorkonten getrennt
Sichere Administrationsgeräte oder PAWs vorhanden
Windows LAPS für lokale Administratorkonten eingerichtet
gMSAs für geeignete Dienste eingeführt
SMBv1 deaktiviert
NTLM-Nutzung erfasst und schrittweise reduziert
LDAP-Signierung und Channel Binding geprüft
Kritische GPOs geschützt und gesichert
Alte Benutzer- und Computerkonten bereinigt
Erweiterte Überwachungsrichtlinien aktiviert
Ereignisse zentral gesammelt und ausgewertet
Warnungen für privilegierte Änderungen eingerichtet
Offline oder unveränderbare Sicherungen vorhanden
Forest-Recovery-Plan dokumentiert
Wiederherstellung praktisch getestet

Fazit: Active Directory sicher konfigurieren

Wer sein Active Directory sicher konfigurieren möchte, benötigt mehr als starke Kennwörter. Entscheidend sind getrennte Verwaltungswege, minimale Rechte und geschützte Domain Controller. Außerdem müssen veraltete Protokolle kontrolliert reduziert werden.

Beginnen Sie mit den größten Risiken. Bereinigen Sie privilegierte Gruppen und trennen Sie Administratorkonten vom Arbeitsalltag. Führen Sie danach Windows LAPS, sichere Dienstkonten und zentrale Überwachung ein.

Denken Sie gleichzeitig an den Ernstfall. Ein geprüftes Backup und ein dokumentierter Forest-Recovery-Plan können bei einem Cyberangriff entscheidend sein.

AD-Sicherheit bleibt zudem ein fortlaufender Prozess. Neue Systeme, Anwendungen und Berechtigungen verändern die Umgebung ständig. Regelmäßige Prüfungen verhindern, dass sich schleichend neue Angriffspfade bilden.

FAQ zur Active-Directory-Sicherheit

Die folgenden Antworten behandeln häufige Fragen aus der täglichen Administration.

Wie kann ich Active Directory sicher konfigurieren?

Schützen Sie zuerst die Domain Controller und bereinigen Sie privilegierte Gruppen. Trennen Sie danach normale Benutzerkonten von Administratorkonten. Nutzen Sie außerdem PAWs, Windows LAPS, gMSAs und zentrale Protokollierung. Unsichere Protokolle sollten Sie zunächst überwachen und anschließend kontrolliert reduzieren.

Benötigt ein Active Directory mehrere Domain Controller?

Für produktive Unternehmensumgebungen sind mindestens zwei Domain Controller sinnvoll. Dadurch bleibt die Anmeldung bei einem Ausfall verfügbar. Außerdem lassen sich Updates gestuft installieren. Mehrere Domain Controller ersetzen jedoch kein Backup, da unerwünschte Änderungen ebenfalls repliziert werden.

Sollte jeder Administrator ein Domain-Admin-Konto besitzen?

Nein. Die meisten Verwaltungsaufgaben benötigen keine dauerhaften Domain-Admin-Rechte. Delegieren Sie alltägliche Aufgaben über passende Sicherheitsgruppen. Stellen Sie besonders hohe Rechte nur für notwendige Tätigkeiten bereit. Zudem darf ein privilegiertes Konto nicht für E-Mail und Internet verwendet werden.

Was ist Windows LAPS?

Windows LAPS verwaltet lokale Administratorkennwörter auf Windows-Geräten. Jedes Gerät erhält ein eigenes Kennwort. Dieses wird regelmäßig geändert und geschützt im Verzeichnis gespeichert. Dadurch kann ein gestohlenes lokales Kennwort nicht einfach auf vielen Systemen wiederverwendet werden.

Kann man NTLM sofort vollständig deaktivieren?

Eine sofortige Abschaltung kann ältere Anwendungen und Geräte stören. Aktivieren Sie deshalb zuerst die NTLM-Überwachung. Ermitteln Sie anschließend alle Abhängigkeiten und ersetzen Sie veraltete Verfahren. Danach können Sie NTLM schrittweise einschränken oder deaktivieren.

Was ist eine Privileged Access Workstation?

Eine PAW ist ein besonders abgesicherter Computer für administrative Aufgaben. Auf ihr werden keine E-Mails gelesen und keine normalen Office-Arbeiten erledigt. Dadurch gelangen privilegierte Zugangsdaten seltener auf gefährdete Arbeitsplatzsysteme.

Wie oft sollte die AD-Sicherheit geprüft werden?

Kritische Gruppen und Warnmeldungen sollten laufend überwacht werden. Eine umfassende Prüfung empfiehlt sich mindestens jährlich. Zusätzlich ist ein Audit nach größeren Migrationen, Sicherheitsvorfällen oder organisatorischen Änderungen sinnvoll.

Reicht ein normales Backup des Domain Controllers aus?

Nein. Sie benötigen unterstützte System-State-Sicherungen und einen dokumentierten Wiederherstellungsplan. Bewahren Sie außerdem getrennte oder unveränderbare Kopien auf. Testen Sie regelmäßig die Wiederherstellung einzelner Objekte und der gesamten Gesamtstruktur.

Empfehlung zum Weiterlesen

Wie sicher ist Ihr Active Directory wirklich?

Prüfen Sie Ihre Umgebung mit der Checkliste und beginnen Sie bei privilegierten Konten, Domain Controllern und Backups. Weitere verständliche Anleitungen zu Windows, IT-Infrastruktur und Cybersecurity finden Sie auf Lumio Studios.